Tio tecken på intrång i företaget

Ett intrång börjar nästan aldrig med en röd varningsruta. Det börjar med ett konto som skapades 03:14, en brandväggsregel som "bara" ändrades, eller en kund som ringer om en faktura ni aldrig skickat.

Här är tio tecken värda att utreda, och vad ni gör det första dygnet. Bakgrunden till metoderna finns i vår lägesrapport om hotbilden 2026.

Varför tiden är den dyraste resursen

Ett intrång som får ligga ostört i veckor är ett helt annat problem än ett som upptäcks samma dag. Under tiden kartläggs nätverket, behörigheter trappas upp och data kopieras innan den krypteras. Upptäcktsförmåga är därför värd mer än de flesta enskilda skyddskontroller.

Tumregel: en enskild signal bevisar ingenting. Två eller fler samtidigt, särskilt inom samma dygn, motiverar en utredning även om varje tecken för sig har en harmlös förklaring.

Tio indikatorer värda att larma om

1. Ett administratörskonto som ingen känner igen

Ett konto som admin_temp eller sys_test skapas sällan av misstag. Angripare använder sådana konton för att behålla åtkomst även efter att det ursprungliga hålet är lagat. Kontrollera vem som godkände kontot och varifrån det loggat in.

2. Utgående trafik som inte hör hemma

Stora datamängder som lämnar nätverket nattetid, mot en tjänst ni inte använder, är ett klassiskt tecken på datastöld. Samma volym kan vara rimlig på kontorstid och helt fel klockan två.

3. Administrativa verktyg på fel maskiner

PowerShell, PsExec eller fjärrstyrningsverktyg på en HR-laptop där de aldrig installerats är värt en fråga. Angripare använder organisationens egna, betrodda verktyg eftersom de sällan stoppas av skyddsprogram.

4. Skyddet stängs av sig självt

Om skyddsprogram slås av, uppdateringar uteblir eller larm töms utan att någon kvitterat dem, har någon fått för höga privilegier. Det är ofta steget före den synliga delen av en attack.

5. Konton som låses om och om igen

Många samtidiga utelåsningar tyder på gissningsattacker eller lösenordssprayning mot katalogtjänsten. Även när försöken misslyckas betyder de att någon letar efter svaga konton hos er just nu.

6. Webbläsaren beter sig underligt på interna system

Nya verktygsfält eller tillägg som ingen installerat avfärdas ofta som störande reklam. I en företagsmiljö är det snarare en möjlig ingång för att stjäla sessionskakor och nå molntjänster.

7. Nätet är långsamt utan förklaring

Om kapaciteten är dålig men leverantören ser normal trafik kan era system ingå i ett botnät. Samma kapacitet kan senare riktas mot er egen infrastruktur.

8. Filändelser som .locked eller .enc

När filer på en delad enhet byter namn till bokslut.xlsx.locked är krypteringen i gång. Koppla bort berörda system från nätverket direkt och skydda säkerhetskopiorna.

9. Omstarter utan ändringsärende

Servrar som startar om utan schemalagd uppdatering kan vara ett försök att installera komponenter som överlever omstart, eller att rensa loggar som avslöjar närvaron.

10. Mejl från er domän som ni inte skrivit

När kunder svarar på fakturor ni aldrig skickat är e-postmiljön övertagen. Angriparen lånar er trovärdighet för att lura era affärspartner.

Steg ett: koppla bort, stäng inte av

Koppla bort i stället för att stänga av. Dra ur nätverkskabeln eller stäng av det trådlösa. En avstängning raderar minnet, som ofta är det enda stället där angriparens aktivitet syns.
Återkalla sessioner, inte bara lösenord. Ett nytt lösenord lämnar stulna sessionskakor fungerande. Logga ut alla aktiva sessioner för berörda konton.
Pausa jobb som skriver över data. Massradering, backuprotation och städskript kan förstöra både spår och återställningspunkter.
Ge personalen en enda instruktion. Rapportera misstänkta mejl i stället för att radera dem, och koppla inte upp nya enheter mot det berörda nätet.

De första 24 timmarna

Tilldela tre roller innan någon drar ur en kabel

Incidentledare äger tidslinjen, godkänner varje ingripande steg och kommunicerar utåt.
Bevisansvarig håller reda på vem som rört vilken maskin och för en skriftlig kedja för varje enhet.
Verksamhetsägare tar beslutet att stänga en tjänst och står för avvägningen mellan kontroll och intäkt.

Saknas den första rollen internt är det gapet precis vad en avtalsbaserad resurs fyller. En genomarbetad genomgång av ransomware mot mindre företag ger en rimlig startpunkt för dokumentationen som efterfrågas i efterhand.

Timme 0 till 2: stoppa blödningen

Isolera värdar genom att stänga switchportar eller flytta dem till ett karantänsnät. Återkalla token och sessioner för misstänkta konton. Stäng av schemalagda jobb som rör backup och städning. Meddela ledningen med fakta i stället för gissningar, och utse en talesperson.

Timme 2 till 12: säkra bevisen före återställning

En ominstallation känns som framsteg och är det ofta inte. Säkerställ flyktigt tillstånd som processer, aktiva anslutningar och minnesbilder från de värdar som visar tydligast symtom. Säkra identitetsdata som inloggningsloggar och nya konton, persistens i form av schemalagda aktiviteter och fjärrverktyg utan ändringsärende, samt e-postregler och vidarebefordringar från utsatta brevlådor.

Riktat intrång eller massmalware?

Svaret styr budget och tidsplan, så landa i en bedömning tidigt och revidera den när fakta kommer in.

Massmalware är opportunistiskt och högljutt: samma fil på många enheter, sprayning mot hela katalogen och inget intresse för er organisationsstruktur.
Ett mänskligt styrt intrång är tyst och medvetet: få maskiner rörda i genomtänkt ordning, rekognosering på udda tider, lateral rörelse via legitima administrationsverktyg och borttagna loggar just där en utredare skulle leta.

Tre eller fler av de mänskliga dragen motiverar att ni behandlar händelsen som riktad, vilket normalt innebär bredare återställning av behörigheter och en försiktigare återgång till drift.

När anmälningsklockan börjar

Anmälningsskyldigheten knyts till när exponeringen bekräftas, inte till när städningen är klar.

Enligt dataskyddsförordningen ska en personuppgiftsincident som riskerar enskildas rättigheter i regel anmälas till tillsynsmyndigheten inom 72 timmar från det att organisationen fick kännedom.
Avtal är ofta strängare än lag. Kundavtal och cyberförsäkringar kan kräva besked inom timmar, och försäkringsbolaget vill ibland godkänna utredaren innan kostnader uppstår.
Mottagarna är flera. Registrerade, sektorsmyndigheter, polis och ibland allmänheten har separata tidsplaner.

Fäst tidpunkten för när ni fick kännedom vid konkret bevisning, eftersom ett mejlhuvud är värt mer än ett minne, och dokumentera varje anmälningsbeslut med den juridiska bedömning som låg bakom.

Vad en incidentinsats kostar

Siffror varierar med land, sektor och miljöns storlek, så läs dem som riktmärken.

Avtalad beredskap är en årlig avgift för prioriterad åtkomst till en utredare. Det ni köper är åtagandet i avtalet, inte ett klippblock av timmar.
Akut insats ligger ofta på fyrställiga dagarvoden, och ett ärende med en enskild värd kan avslutas inom några dagar.
Full utredning och återställning landar ofta på tiotusentals kronor och kan nå sexställiga belopp när juridik, anmälningar och driftstopp räknas in.
Lösekrav ligger ofta högt, utan garanti för att nyckeln fungerar eller att stulen data raderas. Det gör betalning till ett affärs- och juridikbeslut.

Tre misstag som förvärrar läget

Förhandla inte med angriparen innan ni vet omfattningen. Återställ inte från backup innan bevis är säkrade och åtkomsten stängd. Låt inte samma team granska sin egen miljö utan stöd.

Vanliga frågor

Kan vi fortsätta arbeta under en utredning? Ofta ja, men inte på de berörda systemen. Dela upp miljön så att isolerade segment kan användas för affärskritiska funktioner medan utredningen pågår.

Räcker det att byta lösenord på alla konton? Nej. Ett lösenordsbyte stänger en väg in men lämnar kvar sessionskakor, tjänstekonton och persistens. Utgå från en inventering av alla åtkomstvägar.

Måste vi polisanmäla? Ibland är anmälan skyldig enligt lag eller avtal, och i praktiken är den ofta nödvändig för försäkring och skadeståndsanspråk. Ta beslutet med jurist och dokumentera resonemanget.

Hur vet vi att angriparen är borta? Genom att verifiera frånvaron av persistens, granska behörigheter på nytt och bevaka en period efter återställning. Frånvaro av larm en dag är inte samma sak som frånvaro av angripare.

Vad kostar det att inte agera? Utöver lösekrav tillkommer driftstopp, produktionsbortfall och regulatoriska kostnader. För många mindre företag är summan större än vad förebyggande arbete hade kostat.

Behöver ni en extern bedömning innan ni vet om ni har ett intrång? Prata med teamet för en avgränsad genomgång av loggar, konton och nätverkstrafik.

Tio tecken på att företaget är komprometterat